Vulnerabilità PHP: perché la piattaforma di voto Eligo non è a rischio

Il 21 ottobre 2026 il team di sviluppo di PHP ha reso note due vulnerabilità PHP classificate come critiche, identificate con i codici CVE-2026-109618 e CVE-2026-109619. Sulle versioni non aggiornate, queste falle possono consentire a un attaccante di eseguire codice da remoto senza autenticazione.

Si tratta di un avviso che riguarda una parte rilevante del web e che richiede interventi rapidi da parte di chi gestisce siti e applicazioni. In questo articolo spieghiamo che cos’è PHP, quali versioni sono state corrette e perché la piattaforma di voto Eligo non è coinvolta.

Che cos’è PHP e perché le vulnerabilità PHP sono rilevanti

PHP è un linguaggio di programmazione lato server, cioè eseguito sul server che ospita un sito e non sul dispositivo dell’utente. È uno dei linguaggi più diffusi per lo sviluppo di siti e applicazioni web: su PHP si basano, ad esempio, WordPress e numerosi portali aziendali, istituzionali e di e-commerce.

Proprio per questa diffusione, le vulnerabilità PHP hanno un impatto potenzialmente molto ampio. Una falla nel linguaggio non riguarda un singolo sito, ma tutte le installazioni che utilizzano una versione non aggiornata.

Cosa prevedono le due vulnerabilità PHP del 21 ottobre

Secondo l’avviso ufficiale pubblicato su php.net, entrambe le vulnerabilità PHP permettono l’esecuzione di codice da remoto, nota come Remote Code Execution (RCE). In pratica, su un server non aggiornato un attaccante potrebbe eseguire comandi senza disporre di credenziali di accesso.

• CVE-2026-109618: è legata alla gestione degli errori di memoria esaurita, che può lasciare i dati di una richiesta inizializzati solo in parte.
• CVE-2026-109619: riguarda dati di una richiesta che restano in memoria dopo essere stati liberati e possono essere riutilizzati da una richiesta successiva.

Il team di PHP indica l’aggiornamento come unica soluzione completa. Le misure di mitigazione temporanee descritte nell’avviso riducono il rischio, ma non rendono sicura un’installazione.

Le versioni di PHP corrette

Gli aggiornamenti che correggono le vulnerabilità PHP sono stati rilasciati per tutti i rami attualmente supportati, come confermato anche da The PHP Foundation.

Chi utilizza PHP sui propri siti dovrebbe quindi verificare la versione installata e aggiornarla il prima possibile.

Perché la piattaforma di voto Eligo non è coinvolta

Il linguaggio PHP non è utilizzato in alcun modo nell’ambito della piattaforma di voto. In particolare, PHP:

• non è presente negli ambienti di produzione;
• non è presente negli ambienti di sviluppo, test, collaudo e pre-produzione;
• non è impiegato per attività di scripting, automazione, amministrazione o manutenzione dei sistemi.

Le votazioni gestite tramite la piattaforma possono quindi proseguire regolarmente, senza la necessità di alcuna azione correttiva da parte degli enti e delle organizzazioni clienti.

Non si tratta di una coincidenza, ma del risultato di scelte tecnologiche orientate alla sicurezza e all’affidabilità di un processo delicato come il voto. Queste scelte sono particolarmente rilevanti per le organizzazioni che operano in contesti regolati. I fondi pensione dei dipendenti Unipol ed ex Fondiaria-SAI, ad esempio, hanno adottato il voto elettronico per fondo pensione per oltre 22.000 aventi diritto, con la necessità di coniugare partecipazione, tutela dei dati e conformità normativa.

Gli interventi sui siti istituzionali del Gruppo

Subito dopo la pubblicazione dell’avviso sulle vulnerabilità PHP, il team tecnico ha aggiornato in via precauzionale i siti istituzionali del Gruppo alla versione PHP 8.2.35, che integra la correzione ufficiale.

Questi siti utilizzano tecnologia PHP, ma sono del tutto separati dal sistema di voto. L’intervento ha quindi riguardato esclusivamente i siti informativi e non ha avuto effetti sulle votazioni in corso.

La sicurezza del voto online parte dall’architettura

Episodi come le vulnerabilità PHP confermano che la tecnologia su cui è costruita una piattaforma di voto incide direttamente sulla sua capacità di resistere agli attacchi. La sicurezza nel voto online non dipende solo da autenticazione, crittografia e segretezza del voto, ma anche dalle scelte di base sull’infrastruttura.

La piattaforma è ospitata su Microsoft Azure, con data center situati in Europa, e integra firewall e tecnologie crittografiche a protezione dei dati sensibili. La manutenzione e l’aggiornamento continuo delle componenti software e infrastrutturali fanno parte del servizio. Ogni due anni, inoltre, la piattaforma viene sottoposta a penetration test e analisi delle vulnerabilità eseguiti da operatori specializzati.

La piattaforma Eligo è sviluppata e gestita nell’ambito di un sistema certificato ISO/IEC 27001 per la sicurezza delle informazioni, insieme alle certificazioni ISO 27017 (sicurezza in cloud), ISO 27018 (protezione dei dati personali in cloud) e ISO 9001 (qualità). Le misure adottate sono descritte nella pagina Tecnologia e certificazioni, mentre le funzionalità di voto sono illustrate nella pagina Eligo Votazioni.

Continueremo a monitorare il panorama della sicurezza e ad agire con tempestività a tutela dei clienti e dei loro processi democratici. Per approfondire le misure di sicurezza previste per le vostre votazioni, contatta un esperto Eligo.

Domande frequenti sulle vulnerabilità PHP